Osegi
Sécurité·2 min de lecture

SignDrop : une faille Windows retourne Defender contre lui-même

Un chercheur en conflit avec Microsoft publie SignDrop, une faille zero-day qui détourne Defender pour donner à un simple utilisateur les droits System.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit.
Image: Ars Technica
SUMO Dialo ediviewer giftdetect

Un chercheur connu sous le pseudonyme Nightmare Eclipse, en conflit ouvert avec Microsoft, a publié une nouvelle faille zero-day Windows baptisée SignDrop. Elle permet à un utilisateur local ordinaire d'obtenir les droits System, le niveau le plus élevé du système. Et pour cela, elle exploite Windows Defender lui-même.

Qu'est-ce que la faille SignDrop ?

La vulnérabilité se trouve dans le Common Log File System (CLFS), un service de journalisation utilisé par les logiciels Windows. L'attaquant crée un conteneur de journal spécialement conçu, puis force un processus privilégié, comme Defender, à l'ouvrir. Il passe pour cela par une fonction légitime de Defender qui traite les mises à jour de signatures antivirus.

Grâce à des liens symboliques du gestionnaire d'objets de Windows, l'attaquant fait ouvrir le conteneur avec les droits du moteur antimalware. Si un fichier d'authentification associé manque, CLFS le crée avec les privilèges System de Defender. Le nouveau fichier reprend la liste de contrôle d'accès du fichier d'origine : l'attaquant peut alors accéder à un fichier créé en System et s'en servir pour élever ses privilèges.

L'ironie, c'est que cette faille découle d'une protection introduite par Microsoft en octobre 2025 contre d'autres attaques CLFS. « Microsoft fait tout correctement ici, mais la logique permet l'abus », a écrit Nightmare Eclipse. Selon lui, l'astuce fonctionne contre n'importe quel moteur antimalware, car la création de fichier semble venir de son propre processus de confiance. Cela permettrait de désactiver un antivirus ou un outil EDR (détection et réponse sur les terminaux).

Quelles versions de Windows sont concernées ?

Selon Nightmare Eclipse, l'exploit a fonctionné sur Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental. Un système est vulnérable si son mode d'authentification CLFS est en apprentissage ou en application.

Le chercheur Will Dormann a reproduit l'exploit, qui fonctionne comme décrit, avec une réserve. Il faudrait un Windows 26H2 installé depuis plus de 90 jours : une installation neuve avec les mises à jour ne suffit pas. La valeur de registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode doit valoir 0 ou 1. Sur les nombreuses machines de Dormann, une seule remplissait cette condition.

Microsoft déploie ses versions, dont la 26H2, par vagues, et le nombre d'utilisateurs concernés reste flou. Vous pouvez vérifier votre version avec la commande « winver ». Microsoft indique examiner le rapport, n'avoir aucune preuve d'exploitation dans la nature, et affirme que Defender bloque les tentatives d'exploitation. Nightmare Eclipse a publié de nombreuses autres failles zero-day Windows ces derniers mois.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:windowszero-daysigndropnightmare eclipsemicrosoft defenderclfs

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →